Ipprova ggwida servizz web lokali wieħed biss 'il barra mill-VPN skont il-port

Servizz wieħed tal-host irid iwieġeb lill-internet permezz tal-link upward fiżiku waqt li kull ħaġa oħra fuq il-magna tibqa' tuża t-tunnel. Tliet kundizzjonijiet jiddeċiedu jekk ir-routing ibbażat fuq il-politika jistax jerfa' dak it-tagħbijiet, u kull waħda minnhom hi rħisa biex tiġi ċċekkjata qabel tikteb regola. Is-servizz irid jispiċċa fuq dan il-host u mhux wara DNAT jew port mibgħut, ir-regoli tal-VPN stess iridu jippermettu l-eċċezzjoni, u trid tqabbel it-tweġiba minflok it-talba. Jekk tfalli waħda mit-tlieta, il-kmandi hawn taħt jitgħabbu najs iżda ma jagħmlu xejn utli.

Iċċekkja t-tliet kundizzjonijiet qabel tikteb regola

Kontenitur li jippubblika port permezz ta' DNAT, jew server wara forwarding tal-port, jiġġenera pakketti li ma joriġinawx fuq dan il-host. Dawk il-pakketti jiġu mgħoddija, għalhekk regola bbażata fuq input lokali tal-host qatt ma tarahom u t-traffiku jibqa' jieħu r-rotta default. Ikkonferma fejn is-servizz tassew jaħdem qabel tkompli, għax din hi l-kundizzjoni li n-nies l-aktar jiżbaljaw fiha.

It-tieni kundizzjoni hi politika u mhux mekkanika. Kull rotta li taqbeż it-tunnel hi eċċezzjoni għall-iskop tat-tunnel, u fuq host immaniġġjat dik id-deċiżjoni tappartjeni lil min jippossjedi l-politika, mhux lil min jiġġieled timeout.

Qabbel it-tweġiba, mhux il-port tad-destinazzjoni tal-klijent

Tweġiba minn server li jisma' fuq TCP 443 titlaq mill-host bil-port tas-sors 443. Browser fuq l-istess host li jqabbad ma' sit HTTPS remot jibgħat port tas-sors temporanju u port tad-destinazzjoni 443. It-tnejn huma traffiku tal-port 443 u wieħed biss għandu jieħu t-tabella tal-WAN, għalhekk qbil fuq il-port tad-destinazzjoni jaqbad il-half ħażin.

Id-direzzjoni tat-tweġiba hi dak li tista' tiddistingwi. Qabbel il-port tas-sors, illimita r-regola għall-pakketti ġġenerati lokalment, u r-regola tkopri t-tweġibiet tas-servizz stess mingħajr ma tmiss it-talbiet tal-browser.

Ibni tabella ta' ritorn sħiħa qabel ir-regola tindika lejha

Tabella vojta tfisser l-ebda rotta, li tidher bħala servizz miksur aktar milli politika miksura. Imlaha l-ewwel, b'numru tat-tabella u prijorità li xejn ieħor fuq il-host ma jitlobhom:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

Aqra n-numri mill-host ħaj minflok tikkupjahom. ip -4 rule show jgħidlek liema prijoritajiet huma meħuda, u żżid regola fuq prijorità li diġà teżisti tbiddel bilkwiet l-ordni ta' żewġ regoli li waħedhom jidhru tajbin.

Żewġ seletturi jagħmlu x-xogħol veru hawn. iif lo hi l-mod kif il-qalba tirrapporta l-pakketti li l-host ġġenera hu stess, għalhekk ir-regola ma tistax taqbad aċċidentalment traffiku mgħoddi li jiġi minn barra. ipproto tcp sport 443 iddejjaqha għal trasport wieħed u port wieħed, li hu daqshekk strett kemm tippermetti l-ħtieġa. Neħħi s-selettur tal-protokoll u r-regola taqbad ukoll UDP 443, li hu servizz ieħor b'imġiba differenti.

Żomm it-tweġibiet privati ġewwa t-tunnel

Jekk l-istess semmiegħ iwieġeb ukoll klijenti fuq in-naħa privata, rotta default tal-WAN li taqbad kollox fit-tabella 100 tipprova tirritorna dawk it-tweġibiet permezz tal-link upward. Żid il-prefissi privati li m'għandhomx isegwu d-default tal-WAN, jew ħallihom jaqgħu għar-regola tal-politika li jmiss:

ip -4 route add table 100 throw 10.90.0.0/24

Rotta throw ittemm it-tfittxija f'din it-tabella u tirritorna l-pakkett lill-lista tar-regoli, għalhekk il-politika tal-VPN li tiġi wara tieħu ċ-ċans tagħha. Hija stess ma tidderieġix xejn fit-tunnel, u jekk l-ebda regola aktar tard ma jkollha rotta li taqbel il-pakkett xorta jfalli; ivverifika l-politika li jmiss minflok tassumi li throw hi tiswija.

Il-filtrazzjoni tal-passaġġ invers u r-regoli tal-firewall tal-host għadhom japplikaw għat-talba li tasal. Ħares lejn il-verdetti veri tagħhom qabel ma ttaffi l-validazzjoni, għax eċċezzjoni ta' routing ma tagħmilx lil rp_filter taċċetta passaġġ ta' ritorn li tqis impossibbli.

Ittestja TCP, imbagħad QUIC, imbagħad reboot

Iftaħ konnessjoni waħda minn klijent estern awtorizzat u waħda min-naħa privata, imbagħad spezzjona t-tfittxija tat-tweġiba bl-indirizzi u l-portijiet veri. Jekk it-tweġiba esterna tieħu t-tabella 100 u dik privata le, il-politika qed tagħmel dak li tlabt.

HTTP/3 jiġi servut fuq UDP u mhux se jinqabel minn regola TCP, għalhekk semmiegħ QUIC għandu bżonn is-selettur tiegħu, inkella jibqa' juża t-tunnel waqt li HTTPS jaħdem. Ippreserva r-regoli li tiddeċiedi fuqhom mal-komponent li jippossjedi l-interface, u kkonfermahom wara rikonnessjoni jew tiġdid DHCP. Meta maniġer konkorrenti jneħħi rotta runtime wara reboot, din hi problema ta' propjetà li trid tiġi fissa fil-bidu, mhux raġuni biex iżżid regoli NAT usa' fuqu.